インシデントとは、ビジネスでは事故や業務の妨げになる出来事と、それにつながりかねない出来事を指す言葉です。セキュリティの分野では、情報の漏えい、改ざん、システムの停止と、それらにつながる可能性のある出来事を指します。
今日やることは、社内で「何を報告するか」を5つの例で書くことです。怪しいメールの添付を開いた、会社のパソコンをなくした、といった具体例で構いません。定義の文章より先に例を決めると、社員が迷わず動けます。
医療とビジネスでは何が違う？
同じ言葉でも、分野で範囲が違います。ここを揃えないと、社内の会話がかみ合いません。
| 分野 |
インシデントが指すもの |
実際の事故を含むか |
| 医療 |
患者に被害が及ばなかった事例 |
含めない使い方が多い |
| ITサービスの運用 |
計画外の中断、品質の低下、影響の出ていない事象 |
含む |
| 情報セキュリティ |
漏えい、改ざん、停止と、その可能性がある事象 |
含む |
医療での使い方
医療では「ヒヤリ・ハット」と同じ意味で使われることがあります。厚生労働省の四国厚生支局のサイトで公開された講演資料は、2002年の医療安全対策検討会議の定義を紹介しています。アクシデントを医療事故、インシデントをヒヤリ・ハットとする整理です。
国立病院・療養所における医療安全管理のための指針は、ヒヤリ・ハット事例を次のように説明しています。ある医療行為が、患者には実施されなかったが実施されれば被害が予測された場合と、実施されたが被害に至らなかった場合です。
つまり医療の文脈で「インシデント」と言えば、多くは事故の一歩手前です。病院勤めの経験がある社員が「インシデント＝まだ事故ではない」と受け取るのは、自然なことです。
ITサービスでの使い方
ITの運用では、もう少し広く使います。IPAのITサービスマネージャ試験のシラバスは、インシデントをサービスに対する計画外の中断、品質の低下、顧客や利用者へのサービスに影響していない事象と示しています。攻撃でなくても、受注システムが止まればインシデントです。
セキュリティでの使い方
IPAの手引き（2026年6月）は、セキュリティインシデントをセキュリティの事故や出来事のことと説明しています。例は、情報の漏えいや改ざん、破壊や消失、機能停止、またはこれらにつながる可能性のある事象です。
JPCERT/CCは、情報および制御システムの運用におけるセキュリティ上の問題として捉えられる事象と説明しています。米国のNISTの定義にも、実際の危険だけでなく潜在的に危険にさらす出来事が含まれます。
どの定義も、「実際に被害が出た後」だけを指していません。社内の定義でも、被害の前の段階を入れておくことが肝心です。
会社では何をインシデントとして報告する？
世の中の定義をそのまま掲示しても、社員は動けません。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、インシデントの対象範囲とレベル、判定基準を定義し、エスカレーションのルールを決めて従業員に周知するよう示しています。
私たちが考える定義の文は、次のような短いものです。
社内定義の例
- 会社の情報やシステムに、害が出た、または出るかもしれないと思ったことは、すべて報告する
- 間違いかもしれなくても報告してよい
- 自分のミスでも報告する
あとは例を並べます。製造業の会社なら、たとえば次のようになります。
| 分類 |
報告する例 |
| なくした |
図面が入ったUSBメモリ、社用のスマートフォン、ノートパソコン |
| 送り間違えた |
図面や見積もりを別の取引先へ送った |
| 開いた、入れた |
怪しいメールの添付やリンクを開いた、偽のサイトにパスワードを入れた |
| 動きがおかしい |
ファイルが開けない、見慣れない画面が出る、勝手に再起動する |
| 外から言われた |
取引先から「御社から不審なメールが来た」と連絡があった |
| 工場で起きた |
設備用パソコンの見慣れない表示、加工データの覚えのない変更 |
設備の異常は、原因が故障か攻撃か、見た目では分かりません。JPCERT/CCの説明が制御システムも含めているように、工場の機器も対象に入れます。保全の担当が故障として直すだけで終わらないよう、「原因が分からない設備の異常は総務にも一報」と決めておく方法があります。
報告の対象にしなくていいものは？
広げすぎると、今度は通知だらけで見られなくなります。次のようなものは、報告の対象から外す選択肢があります。
- 迷惑メールが届いただけで、開いていないもの（別途、受信の設定を見直す窓口へ）
- パスワードを忘れて入れないだけのもの（通常の問い合わせへ）
- ウイルス対策ソフトが自動で止め、後の対応が要らないと確認できるもの
判断に迷うものは、報告に入れます。受けた側が「これは対象外でした」と返せばすむからです。
監視サービスの警告も、同じ基準で仕分けます。IPAのお助け隊サービス基準でも、重大なものは即時、防御で十分対策できたものや対応が不要なものは週1回のレポートなどで通知する形に分けています。詳しくはセキュリティ監視の範囲の分け方をご覧ください。
レベルはどう分ける？
全部を社長へ上げる必要はありません。3段階にして、誰まで報告するかを決めます。これは私たちの案なので、会社の事情で変えてください。
| レベル |
状態 |
例 |
報告先 |
| 1 |
疑いがある |
怪しい添付を開いたが異常は見えない |
窓口と責任者 |
| 2 |
起きた可能性が高い |
パソコンの感染、図面の誤送信 |
責任者と社長 |
| 3 |
事業や社外に影響する |
生産やサービスの停止、個人データや取引先の情報の流出 |
社長と外部の相談先 |
レベル3の判定には、法律上の期限も関わります。個人情報保護委員会のガイドライン（通則編）では、個人データの漏えいなどが一定の条件に当たると報告が必要です。対象には、要配慮個人情報、財産的被害のおそれ、不正アクセスなど不正の目的のおそれ、1,000人を超える漏えいなどがあります。
速報の目安は事態を知ってからおおむね3〜5日以内です。社内の報告が数日止まると、この時間を食ってしまいます。
判断のために、いつ何が起きたかを残せるようにしておきます。ログの保存は統合ログ管理ツールの比較で方法を確かめられます。社内の判定が難しいときの相談先を持っておくなら、セキュリティ運用代行・顧問サービスの比較が候補です。
社員が報告しやすくなるのは、どんな会社？
報告が遅れる理由は、定義の不足だけではありません。「自分のせいで怒られる」と思えば、黙っていたくなります。
ここは医療の取り組みが参考になります。厚生労働省の医療安全管理者の業務指針は、事故やヒヤリ・ハットの報告者を非難しない組織文化を研修の項目に入れています。再発防止を目的とするからです。
会社でも次の3つを決めておきます。
- 早く報告した人を責めないと、社長の言葉で伝える
- 連絡先を1つに絞り、電話とチャットの両方を示す
- 報告が来たら「ありがとう」と返し、次に何をするかだけを聞く
報告した人に指示すること
IPAの手引きは、対象機器の電源を切るなど、不用意な操作で記録を消さないよう注意しています。社員へは「触らず、そのまま連絡」と伝え、ネットワークからの切り離しは窓口の指示で行う形にします。
外部から通報を受けた場合は、通報者の連絡先を控えるようにも示されています。受付の電話のそばに、この一文を貼っておくと役に立ちます。
周知は年に1回の説明で終わらせず、訓練にも入れます。怪しいメールを開いたと想定して連絡まで試すと、定義が通じているかが分かります。社員教育の手段はセキュリティ教育のサービス比較で確かめられます。
定義を決めたら次は何をする？
報告を受ける人と、その先の流れを決めます。誰が判定し、誰が止める判断をするかは、CSIRTの体制図の作り方で社員50人の例を示しています。運用全体の考え方はセキュリティ運用のカテゴリにまとめています。
定義はA4の紙1枚に収め、新入社員の研修でも配ってください。言葉の説明よりも、「このときはここへ連絡」と分かることが役に立ちます。
